Gyazo : le bilan final distingue les images touchées des millions de métadonnées

Distinguer fichiers image et enregistrements

Le bilan de Gyazo doit se lire en séparant fichiers, utilisateurs et métadonnées. Le rapport final de Helpfeel identifie 432 fichiers image appartenant à 133 utilisateurs comme touchés. Ce constat précis ne doit être ni remplacé par les grands totaux de bases de données ni ramené à une simple possibilité d’accès à ces fichiers particuliers.

Helpfeel indique que Gyazo a repris son service le 27 septembre, après la réponse à l’incident. La reprise et le périmètre des informations affectées répondent à deux questions différentes. Une date de rétablissement ne transforme pas des enregistrements en personnes.

Le rapport final recense environ 23.62 millions d’enregistrements d’informations utilisateurs et distingue explicitement comptes et individus. Le total ne constitue donc pas un décompte de personnes uniques.

Helpfeel mentionne aussi environ 174 millions d’enregistrements de métadonnées associés à des images supprimées. Cette catégorie doit rester distincte des fichiers image supprimés eux-mêmes. Décrire des métadonnées comme des images changerait la nature de l’exposition.

Ce que les articles antérieurs apportent

The Hacker News évoquait environ 490 millions d’enregistrements de métadonnées d’images, principalement associés à des images de janvier 2019 ou antérieures. Cette couverture apporte du contexte, tandis que le constat final sur les fichiers précis guide le bilan actuel. Il ne faut pas additionner ces catégories pour fabriquer un nouveau total.

The Hacker News indiquait aussi que les métadonnées pouvaient comprendre du texte extrait des images par OCR. Cela justifie de regarder au-delà du fichier visible dans une politique de partage. Ce constat ne signifie pas que chaque enregistrement contenait les mêmes champs.

Selon TechRadar, l’intrusion du 11 septembre exploitait une vulnérabilité permettant d’exécuter des commandes sur les serveurs Gyazo. Ce mécanisme d’entrée rapporté ne suffit pas à déterminer quels champs ou fichiers ont ensuite été transmis.

TechRadar rapportait par ailleurs la confirmation de Helpfeel selon laquelle les informations de paiement, dont les numéros de carte, n’avaient pas été divulguées. Cette limite concerne les paiements ; elle ne doit pas devenir une garantie générale sur les autres données.

Une revue conditionnelle pour les équipes algériennes

Pour une organisation algérienne utilisant le partage de captures, la question utile est celle du contenu conservé, des destinataires et des métadonnées associées. Les faits fournis n’établissent ni victime algérienne ni taux d’adoption local.

Il convient de distinguer fichiers, informations utilisateurs et texte extrait, puis d’attribuer un responsable à chaque catégorie. Revoir ensuite ce qui devrait être conservé ou partagé à l’extérieur. Dans une communication d’incident, garder les unités du fournisseur : comptes, enregistrements, fichiers et utilisateurs ne sont pas interchangeables.

Le bilan mérite une lecture précise : l’accès à des fichiers identifiés doit être pris en compte sans devenir une affirmation de vol massif d’images. À l’inverse, se limiter aux seuls fichiers ferait disparaître l’exposition distincte des métadonnées.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Helpfeel
• The Hacker News
• TechRadar